Tato stránka je určena pro vedoucí kybernetické bezpečnosti, provozní ředitele a compliance manažery v dopravě. Seznámíte se se specifickými povinnými opatřeními podle zákona č. 264/2025 Sb., termíny registrace a technickými standardy pro ochranu kritické dopravní infrastruktury.
Letecké operátoři, železniční dopravci, silniční autority, lodní společnosti a operátoři přístavů v ČR s více než 250 zaměstnanci nebo ročním obratem přesahujícím 50 milionů EUR spadají do kategorie podniků podstatného významu. Menší subjekty s kritickou rolí v přepravě osob či bezpečnosti provozu mohou být klasifikovány jako důležité entity. Povinnost registrace u NÚKIB platila do 31. prosince 2025.
Musíte zavést bezpečnostní mechanismy chránící dispatch systémy, systémy řízení letového provozu a železniční signalizaci. Zahrnuje monitorování přístupu, šifrování komunikace a fyzickou izolaci kritických OT sítí od IT sítí. Proveďte audit všech operačních systémů a implementujte zálohy v geograficky oddělených lokalitách.
Rezervační a prodejní systémy musí splňovat normu NIS2 pro dostupnost a integritu dat. Implementujte autentizaci s více faktory, pravidelné penetrační testy a monitorování anomálií. Zajistěte, aby systémy byly odolné vůči výpadkům a podržely provoz nejméně 24 hodin bez spojení s externími sítěmi.
Při incidentu ovlivňujícím bezpečnost cestujících nebo přeshraniční přepravu musíte vydat včasné varovné hlášení do 24 hodin, úplné oznámení do 72 hodin a závěrečnou zprávu do 1 měsíce. Incidenty na kritických rezervačních nebo řídících systémech se automaticky považují za incidenty s vlivem na bezpečnost veřejnosti.
Proveďte audit všech dodavatelů, kteří poskytují software pro řízení letušů, údržbu vozidel nebo řídící systémy. Vyžadujte smlouvy obsahující povinnosti kybernetické bezpečnosti, včetně práva na bezpečnostní audity. Monitorujte aktualizace bezpečnosti dodavatelů a implementujte postupy pro okamžité řešení zranitelností.
Všichni zaměstnanci s přístupem k operačním nebo rezervačním systémům musí absolvovat školení kybernetické bezpečnosti nejméně jednou ročně. Školení musí zahrnovat rozpoznávání phishingu, fyzickou bezpečnost přístupu a postup hlášení podezřelých aktivit. Vedení musí demonstrovat viditelný závazek k bezpečnosti prostřednictvím zásad a zdrojů.
Registrujte veškerou techniku používanou k přepravě osob (letadla, vlaky, autobusy) a veškeré systémy, které řídí jejich obsazení, údržbu nebo bezpečnost. V letectví zahrnuje všechny letouny v komerčním provozu; v železnici všechny řady vozů přepravující cestující; v přístavech všechny systémy řídící bezpečnost nákladu a osob v přístupových oblastech.
Podniky podstatného významu (včetně letišť a velký operátorů) mohou čelit pokutám až do výše 10 milionů EUR nebo 2 % ročního obratu. Důležité entity čelí pokutám až do 7 milionů EUR nebo 1,4 % obratu. Pokuty mohou být uloženy za neplnění registrační povinnosti, nedostatečné bezpečnostní opatření nebo pozdní hlášení incidentů.
Technická bezpečnostní opatření musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci. Pokud jste byli v působnosti zákona již k 1. 11. 2025, museli jste se zaregistrovat do 31. prosince 2025; nově povinné subjekty se registrují do 60 dnů od splnění kritérií, a lhůta pro zavedení opatření se odvíjí od data jejich vlastní registrace. Kritické systémy (ATC, bezpečnostní řetězce) by měly být prioritou v prvních 6 měsících.